ANÁLISE DA CONFIABILIDADE DOS BARRAMENTOS ELÉTRICOS DE SEGURANÇA DE ANGRA I CONSIDERANDO A NOVA CONFIGURAÇÃO DE GERADORES DIESEL
Patrícia Guimarães Crossetti*, Pedro Luiz C. Saldanha** e P. F. Frutuoso e Melo***
*COPPE/UFRJ - Programa de Engenharia de Produção Caixa Postal 68507
21945 -970 Rio de Janeiro, Brasil e-mail: crossett@netrio.com.br
**SUESI/CODRE-CNEN R.Gen. Severiano Ribeiro, 90, sala 423 A
22294-900 Rio de Janeiro, Brasil e-mail: saldanha@cnen.gov.br
***COPPE/UFRJ - Nuclear Caixa Postal 68509 21945-970 Rio de Janeiro, Brasil e-mail: frutuoso@lmn.con.ufrj.br
RESUMO
O estudo da confiabilidade dos barramentos elétricos de segurança é vital uma vez que destes depende o eficaz desligamento do reator. Visando o aumento da confiabilidade , o sistema elétrico de emergência de Angra 1 foi alterado . Os dois geradores diesel originais do projeto foram substituídos por novos geradores, sendo os antigos utilizados como reserva dos primeiros. A proposta deste trabalho foi quantificar a melhora da confiabilidade do sistema elétrico utilizando a abordagem markoviana. Concluiu-se que a nova configuração para o sistema diesel de emergência trouxe um significativo aumento da confiabilidade do suprimento de energia elétrica para os barramentos elétricos de segurança.
I. INTRODUÇÃO
O funcionamento de uma usina nuclear requer uma atenção especial diante das consequências de um acidente, que se não controladas e mitigadas podem provocar a liberação de radioatividade para o ambiente atingindo o público e o meio ambiente.
Destaca-se assim, a importância do estudo de sistemas relacionados com a segurança de uma usina nuclear.
Um exemplo de um sistema cujo adequado funcionamento é essencial para a usina é o sistema de suprimento de energia elétrica. Em funcionamento normal, ele alimenta as cargas relacionadas com a refrigeração, controle e iluminação. Durante um acidente, as fontes de energia elétrica alimentam os componentes de classe IE,
essenciais para garantir o desligamento seguro do reator, ou limitar a liberação de radioatividade para o meio ambiente.
Com o intuito de aumentar a confiabilidade do sistema de suprimento de energia elétrica, em 1989 houve uma alteração do sistema de emergência. Os dois geradores diesel originais,GD-1 e GD-2, foram substituídos por dois novos, GD-3 e GD-4, com maior potência nominal. No entanto, os dois geradores originais não foram descartados, sendo usados como reservas.
O objetivo deste trabalho foi calcular a confiabilidade dos barramentos que alimentam as cargas de segurança com a nova configuração do sistema de emergência, utilizando a abordagem markoviana.
Além do cálculo da confiabilidade dos barramentos de segurança, foi possível calcular a probabilidade de solicitação dos geradores diesel e a probabilidade da perda
de todas as fontes de energia.
Os dados referentes aos geradores diesel de Angra I não foram encontrados na literatura. No entanto, com o intuito de obter-se os resultados o mais próximo possível da realidade, procurou-se utilizar dados de sistemas cujas características se aproximam ao máximo do sistema elétrico de Angra I.
Foram desenvolvidos três modelos. O primeiro, abordou o sistema elétrico externo. O segundo, estudou o comportamento do sistema diesel de emergência na configuração original. O último, estudou o sistema diesel de emergência na sua configuração atual.
II. SISTEMA ELÉTRICO
Com o intuito de desenvolver os modelos matemáticos necessários ao cálculo da confiabilidade e disponibilidade dos barramentos de segurança, faz-se necessária a perfeita compreensão do funcionamento do sistema elétrico da usina [1], [2], [3], [4].
O sistema elétrico da usina é dividido em sistema elétrico externo e sistema elétrico interno.
Sistema Elétrico Externo. O sistema elétrico externo é formado por duas linhas de transmissão de 500 kV e três linhas de 138 kV. O sistema de 500 kV é independente do sistema de 138 kV.
As duas linhas de 500 kV interligam a usina às subestações de Cachoeira Paulista e Andrianópolis. A principal função dessas linhas é transmitir para a rede externa a energia gerada em Angra 1. No entanto, se o gerador principal não estiver produzindo energia e se estiver isolado do sistema elétrico, as linhas de 500 kV poderão fornecer energia para alimentar, através do transformador auxiliar T1A1 as cargas do sistema auxiliar, atuando como uma fonte alternativa de energia externa.
Além das linhas de 500 kV, três linhas de transmissão de 138 kV interligam a central à Usina Térmica de Santa Cruz. A Usina de Santa Cruz pertence ao sistema Furnas e localiza-se no município do Rio de Janeiro. Parte da energia produzida por ela é dedicada a Angra 1, constituindo a fonte de alimentação externa para os barramentos elétricos de segurança.
Sistema Elétrico Interno. No sistema elétrico interno de distribuição de energia elétrica, destacam-se:
• o gerador principal,
• o transformador principal, T1,
• o transformador auxiliar, T1A1,
• o transformador de serviço, T1A2,
• os geradores diesel,
• os barramentos de serviço, 1A1 e 1A2,
• e os barramentos de segurança, 1A3 e 1A4. Em funcionamento normal, o T1A1 fornece energia para os barramentos de serviço,1A1 e 1A2, e o T1A2 fornece energia para os barramentos de segurança,1A3 e 1A4. No caso de falta do suprimento de energia do transformador T1A1 ou T1A2, ocorre uma transferência dos barramentos ligados ao suprimento falho para a fonte remanescente.
Existem intertravamentos que evitam a operação dos dois transformadores em paralelo, fornecendo concomitantemente energia para um mesmo barramento de serviço ou de segurança.
Nas barras 1A3 e 1A4 estão conectadas as cargas de Classe 1E.
As barras de segurança são reduntantes, separadas fisicamente, isoladas eletricamente e independentes para evitar falhas de causa comum.
Em cada barramento de segurança, é conectado um gerador diesel de emergência, para garantir a alimentação das cargas essenciais à segurança da usina.
A usina dispõe de quatro geradores diesel de emergência. Dois deles, GD-3 e GD-4, são denominados preferenciais. São de projeto alemão e podem produzir de modo contínuo 5280 kW. Os outros, GD-1 e GD-2, de origem americana, atualmente como geradores reserva, produzem 2850 kW. Em determinadas situações , podem operar por 2000 horas com uma demanda de 3100 kW, ou por 30 minutos com uma demanda de 3500 kW.
O gerador preferencial GD-3 é conectado ao barramento de segurança 1A3 e o gerador GD-4 ao barramento 1A4. Os geradores reserva substituem os preferenciais no caso de falha destes, sendo a substituição feita do seguinte modo: o GD-1 substitui o GD-3 e o GD-2 substitui o GD-4.
Cada gerador é capaz de fornecer energia suficiente para alimentar as cargas de segurança do barramento ao qual ele foi conectado. Eles possuem combustível suficiente para que cada um funcione uma semana sem interrupção e sem realimentação.
III. MODELAGEM
O sistema elétrico de Angra 1 é formado por componentes reparáveis e submetidos a manutenções periódicas. Os geradores diesel ficam em reserva sendo regularmente testados.
Diante dessas características do sistema elétrico, foi possível modelá-lo usando a abordagem markoviana. Para facilitar o estudo, os sistemas externos de suprimento de energia e o sistema de emergência foram abordados separadamente.
O sistema de emergência foi estudado durante um acidente ou na perda das fontes de energia externa. Foram desenvolvidos dois modelos, um para a configuração original com apenas dois geradores diesel de emergência e outro para a situação atual com dois preferenciais e dois de reserva.
No diagrama de estados, os componentes podem estar funcionando ou falhos. O elemento falho será representado por um traço horizontal em cima de seu nome. Estudo do Suprimento Normal. No primeiro modelo, abordou-se o comportamento das fontes externa de energia, ou seja, estudou-se o suprimento de energia via T1A2 e T1A1.
Neste estudo, o ponto de maior interesse é a demanda de solicitação do sistema de emergência: em outras palavras, a probabilidade dos dois transformadores ficarem desenergizados e o sistema enviar o sinal de
acionamento para os geradores diesel.
Como estado inicial, adotou-se a situação em que dois suprimentos de energia elétrica estão em operação pois a usina inicia sua operação nestas condições.
Como se trata de suprimento de energia via T1A1 e T1A2, tem-se um sistema de energia elétrica e não apenas um único elemento.
O sistema de suprimento de energia elétrica via T1A2 é composto pela Usina Térmica de Santa Cruz, pelo Sistema de Transmissão (subestação elevadora e abaixadora e as linhas de transmissão aérea), e pelo sistema de distribuição (disjuntores e barramentos).
O sistema de suprimento de energia elétrica via T1A1 é formado pelas duas linhas de transmissão aérea de 500 kV, subestações seccionadoras e pelo sistema de distribuição.
No estudo do suprimento de energia elétrica para o T1A1, foi desconsiderado o efeito do gerador principal, pois ele é desligado quando ocorre falha nos dois sistemas de transmissão de 500 kV.
Na falta de uma das fontes de suprimento, tenta-se uma transferência para a fonte remanescente. Se houver falha neste processo, a mesma estará incorporada na taxa de falha do suprimento via TIA1 e T1A2.
As falhas de causa comum podem ser desprezadas pois os dois sistemas externos são independentes.
Considera-se que existe pessoal e material suficiente para realizar os reparos imediatamente e que os reparos são independentes. Na Fig. 1 tem-se o modelo desenvolvido.
Figura 1. Diagrama de Transição de Estados para o Estudo do Suprimento Normal
A simbologia empregada na Fig. 1 é esclarecida a seguir:
λST1A2 -taxa de falha do suprimento de energia via T1A2
λST1A1 -taxa de falha do suprimento de energia via T1A1
µST1A2 -taxa de reparo do suprimento de energia via T1A2
µST1A1 -taxa de reparo do suprimento de energia via T1A1.
Estudo do Sistema de Emergência Durante Um
Acidente. Uma vez que as fontes externas falham, os geradores diesel recebem o sinal para partida, pois os barramentos de segurança não podem ficar desenergizados.
A usina de Angra I inicia sua operação com os dois geradores preferenciais, GD-3 e GD-4, de prontidão, logo, esta situação foi a adotada como estado inicial. Se for necessário, trabalha-se com um gerador diesel preferencial e um gerador reserva, ou com os dois reservas, mas sempre se tenta voltar à situação em que os dois geradores preferenciais são alinhados.
Quando os geradores diesel recebem o sinal para partir, três situações são possíveis:
• os dois geradores partem,
• um deles parte e o outro não,
• nenhum deles parte (“Station Blackout”). Quando os dois geradores partem e aceitam todas as cargas de maneira satisfatória, um deles será desligado e colocado de prontidão, sendo este o modo de operação ideal da usina no caso de uma emergência.
Na situação em que apenas um gerador diesel parte, a usina está dentro das bases do projeto. Com um dos barramentos de segurança energizado alimentando o seu respectivo trem, é possível garantir o desligamento da Usina sob condições seguras, apesar desta não ser uma situação recomendável. Tenta-se, então, alinhar o gerador diesel reserva correspondente ao preferencial que falhou.
Se a transição for do estado inicial para aquele em que os dois geradores diesel não partem, tem-se um estado crítico. Tenta-se, então, conectar um dos dois geradores diesel reserva.
A usina deve restabelecer a energia para um dos barramentos em 10 minutos , após este tempo não se poderá garantir que os selos das bombas de refrigeração do reator encontram-se em condições adequadas [5]. Este fato não foi incluído no diagrama de estados, pois os geradores diesel partem e assumem todas as cargas de segurança em 40 segundos, sendo, então, os 10 minutos suficientes para alinhar e conectar um dos dois geradores reserva ao barramento ao qual é designado. Se este falhar, tenta-se então partir o segundo gerador diesel reserva.
As taxas de falha dos geradores diesel em reserva são da ordem de 10-4 [6]. Multiplicando-se esta taxa por um ∆t pequeno observa-se que a probabilidade do gerador diesel falhar em reserva comparada com a probabilidade do gerador diesel falhar na partida é desprezível, podendo então as falhas em reserva ser desprezadas.
Não existem conexões elétricas entre os dois barramentos de segurança 1A3 e 1A4. Os dois sistemas redundantes são independentes, de modo que não são possíveis falhas de modo comum para os acidentes básicos de projeto.
O estudo do sistema de emergência durante a perda dos suprimentos externos foi feito levando-se em conta a configuração atual dos geradores, ou seja, dois geradores preferenciais e dois de reserva. No entanto, um estudo similar pode ser realizado para o projeto original da usina desde que se considere apenas os geradores diesel GD-1 e GD-2.
Na Fig. 2, tem-se o diagrama de estados para o sistema de emergência original durante um acidente, onde:
• GD-2p - GD-2 de prontidão
• pƒP1-2 -- probabilidade de falha na partida do
GD-1 e GD-2
• λG1-2 - Taxa de falha de GD-1 e GD-2
• t - intervalo de tempo infinitesimal
• d - probabilidade de desligamento de um gerador diesel dado que o outro está funcionando.
Figura 2. Diagrama de Estados Para o Sistema Diesel de Emergência Original Durante Um Acidente.
Na Fig. 3 tem-se o diagrama de estados para o sistema de emergência atual durante um acidente, onde:
• GD-1p - GD-1 de prontidão
• GD-2p - GD-2 de prontidão
• GD-3p - GD-3 de prontidão
• GD-4p - GD-4 de prontidão
• pƒP1-2 - probabilidade de falha na partida do
GD-1 e GD-2
• pƒP3-4 - probabilidade de falha na partida do
GD-3 e GD-4
• λG1-2 - taxa de falhas do GD-1 e GD-2
• λG3-4 - taxa de falhas do GD-3 e GD-4
• t - intervalo de tempo infinitesimal
• d - probabilidade de desligamento de um gerador diesel dado que o outro está funcionando.
Figura 3. Diagrama de Estados para o Sistema de Emergência Atual Durante um Acidente
IV. SIMULAÇÃO DOS MODELOS DESENVOLVIDOS
Para a simulação dos modelos matemáticos apresentados utilizou-se o programa Maple V [7]. É um programa matemático que permite o trabalho com números, símbolos e gráficos e que possibilitou a implementação dos modelos desenvolvidos através de rotinas simples utilizando os comandos matemáticos nele incorporados.
A seguir haverá um estudo dos dados e a apresentação dos resultados obtidos na simulação.
Dados. Os dados referentes ao suprimento de energia elétrica para T1A1 e T1A2 foram retirados de [3]. Este trabalho desenvolve o estudo dos suprimentos de energia elétrica, mas transcreve-se na Tabela 1 apenas os resultados finais por ele obtidos.
TABELA 1. Dados para os Suprimentos de Energia para T1A1 e T1A2 Suprimento de energia Frequência de Falha (falha/ano) Tempo de falha (hora)
via T1A1 0,70 10 via T1A2 2,78 50
Os dados considerados neste trabalho para o GD-1 e GD-2 encontrados em [6] são apresentados na Tabela 2.
TABELA 2. Dados dos GD-1 e GD-2 Componente Falha em partir (falha / demanda) Falha em continuar a operar (falha / hora) Tempo de Reparo (horas) GD -1 ou GD-2 2,86 . 10-2 2,4 . 10-3 19,2
Para as taxas de falha dos geradores diesel, GD-3 e GD-4 foram utilizados dados encontrados em [8].
Não foram encontrados dados referentes à taxa de reparo para esses geradores. O dado mais coerente para uso, foi o valor médio dos tempos de reparo dos geradores diesel antigos [6].
Os dados então utilizados para os GD-3 e GD-4 são apresentados na Tabela 3.
TABELA 3. Dados para GD-3 e GD-4 Componente Falha em partir (falha/ demanda) Falha em continuar a operar (falha/hora) Tempo de Reparo (horas) GD-3 ou GD-4 1,74 x 10-4 9,06 x 10-4 17
Simulação. Para o estudo do suprimento normal dos barramentos de emergência, Fig. 1, utilizou-se a resolução do sistema de equações diferenciais através de um método numérico. Efetuou-se o estudo para um período de 18 meses, pois após este tempo a usina é desligada para a recarga do combustível. Logo, o tempo para simulação foi de 12.960 horas.
Nos dois diagramas de estado que representam o sistema de emergência durante um acidente, Fig. 2 para o projeto original da usina e Fig. 3, para o sistema de emergência atual, as transições são probabilidades.
Para simulação, foi necessário montar a matriz de probabilidades de transição e o vetor das probabilidades no instante inicial.
O tempo considerado para a simulação foi de 30 minutos, pois como se observa em [6], a fonte externa de energia é reparada em no máximo 30 minutos.
A probabilidade de desligamento de um gerador diesel, dado que o outro aceitou as cargas, não foi encontrada na bibliografia disponível. Analisando-se as informações encontradas em [6], foi possível aproximar um valor para esta probabilidade de desligamento. Para a determinação da taxa de falha em operação dos geradores diesel, foi levado em consideração um tempo de operação
de 6 horas ou mais, mas para um tempo de observação de 30 minutos, supôs-se uma taxa 10 vezes menor. Como a operação será de meia hora, a probabilidade do gerador falhar nesse tempo será igual a p = 1,2 x 10-4. O desligamento de um dos geradores será dado por: 2 . p(1-p) = 0,00024.
A probabilidade de perda dos suprimentos para T1A1 e T1A2 será: 1,24.10-4.
A probabilidade de falha de todas as fontes internas de energia para as duas configurações do sistema diesel de emergência é apresentada na Tabela 4.
TABELA 4. Probabilidade de Falha de Todas as Fontes Internas de Energia Durante um Acidente Projeto Probabilidade Original 9,54 . 10-4 Atual < 10-10
A probabilidade da perda total das fontes de energia para os barramentos de segurança é caracterizada pela ocorrência de dois eventos: a falha das fontes externas e das fontes internas. Como na modelagem tratou-se as duas ocorrências separadamente, a probabilidade da falta do suprimento de energia para os barramentos 1A3 e 1A4 será a multiplicação da probabilidade de perda de todas as fontes externas pela probabilidade de falha do sistema diesel de emergência.
Na Tabela 5, tem-se a perda total do fornecimento de energia para os barramentos de segurança, para o projeto original e atual do sistema de emergência.
TABELA 5. Probabilidade de Falha Total das Fontes de Energia
Probabilidade de Falha Total das Fontes de Energia Projeto Original Projeto Atual 1,18 10-7 < 10-10
V . CONCLUSÕES E SUGESTÕES
Após a modelagem e simulação desenvolvidos, observou-se que a confiabilidade do sistema de suprimento de energia elétrica para os barramentos de segurança aumentou consideravelmente diante das alterações realizadas no sistema elétrico de emergência de Angra 1.
Em função deste aumento na confiabilidade, pode-se considerar muito reduzida (praticamente desprezível) possibilidade da usina durante um acidente perder todas as fontes de energia elétrica.
A primeira sugestão para o aperfeiçoamento deste trabalho seria o uso de dados reais para os geradores de emergência GD-1, GD-2, GD-3 e GD-4.
Outra sugestão é o estudo detalhado do comportamento do sistema diesel de emergência atual
durante os testes periódicos dos geradores diesel.
REFERÊNCIAS
[1] Final Safety Analysis Report - Central Nuclear Almirante Álvaro Alberto, Angra1, Westinghouse Electric Corporation, Furnas Centrais Elétricas S.A., Revisão nº24, 1994
[2] Borba,P. R.., Cálculo das Probabilidades de Falha de Suprimento de Energia Elétrica dos Barramentos de Classe IE da Usina Nuclear de Angra I, Dissertação de Mestrado em Ciências e Tecnologia Nucleares, Escola Politécnica da Universidade de São Paulo, São Paulo, 1978. [3] Yang,T., Um Modelo para Avaliação da Confiabilidade do Sistema de Suprimento de Energia Elétrica aos Barramentos de Segurança 1A3 e 1A4 de Angra 1, Dissertação de Mestrado, Instituto de Energia Atômica, São Paulo, 1978
[4] Pinheiro, R. P., Sistema de Distribuição Elétrica, Notas de Aula, Furnas Centrais Elétricas S.A., 1976 [5] Saldanha, P.L.C., Aspectos na Avaliação de Segurança Relacionados a Perda Total de Energia Elétrica de Corrente Alternada em Centrais Nucleares, V Congresso Geral de Energia Nuclear (CGEN), Rio de Janeiro, 1994
[6] Reliability of Emergency AC Power Systems at Nuclear Power Plants, NUREG/CR-2989, Washington,1983
[7] Waterloo Maple Software, Maple V, 1992, Waterloo, Ontario, Canada.
[8] German Risk Study - Main Report - A Study of Risk Due to Accidents in Nuclear Power Plant, EPRI NP1804-SR, Special Report, April 1991
ABSTRACT
The reliability study of the safety buses of a nuclear power plant is vital because its safe shutdown depends on it.
Aiming at improving the electrical system reliability, the emergency electric system of Angra 1 was modified. The two original diesel generators were replaced by two news generators, and the former were set as standby generators.
The purpose of this work is to quantify the electric system reliability improvement under the modifications mentioned above by using the Markovian analysis.
It was found that the new configuration for the emergency diesel system brings a significant reliability improvement of the electric source supply to the safety buses.
